Em 2021 a ANPD publicou o guia sobre agentes de tratamento e encarregado (maio) e aprovou seu primeiro regulamento, a Resolução CD/ANPD nº 1 (outubro), que definiu como funcionariam a fiscalização e o processo sancionador. Também recebeu 176 notificações de incidentes de segurança no ano.
Em 2021, a Autoridade Nacional de Proteção de Dados (ANPD) deu os primeiros passos concretos para fiscalizar a LGPD: publicou, em 28 de maio, um guia orientativo sobre agentes de tratamento e encarregado, e aprovou, em 28 de outubro, seu primeiro regulamento oficial, a Resolução CD/ANPD nº 1, que estabeleceu as regras do processo de fiscalização e do processo administrativo sancionador. Foi o ano em que a autoridade deixou de ser apenas uma estrutura em montagem e passou a ter ferramentas formais de atuação.
O que dizia o guia sobre agentes de tratamento?
O guia publicado em maio de 2021 tratou das funções e responsabilidades do controlador e do operador, do papel do encarregado (o DPO), da controladoria conjunta e dos suboperadores. Segundo análise do escritório Mayer Brown, o tema é central para aplicar a lei porque define como a responsabilidade é distribuída entre os agentes.
Para quem presta serviços digitais, o guia foi especialmente relevante. Uma software house que hospeda o sistema de um cliente, ou uma agência que opera campanhas com a base de contatos de uma marca, precisa saber se atua como operadora ou se toma decisões próprias sobre os dados, o que a aproximaria do papel de controladora.
O que a Resolução CD/ANPD nº 1 estabeleceu?
A resolução, publicada no Diário Oficial em 29 de outubro de 2021, aprovou o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. De acordo com o resumo do escritório Lefosse, a fiscalização foi organizada em quatro frentes:
- Monitoramento: levantamento de informações para planejar a fiscalização, com um Relatório de Ciclo de Monitoramento anual e um Mapa de Temas Prioritários bienal. O primeiro ciclo começaria em janeiro de 2022.
- Orientação: guias de boas práticas, modelos de documentos, sugestões de temas para treinamento e ferramentas de autoavaliação e análise de risco.
- Prevenção: divulgação de informações, avisos, solicitações de regularização e planos de conformidade, que não são sanções.
- Repressão: o processo sancionador propriamente dito, com etapas de instauração, instrução, auto de infração, defesa, decisão e recurso.
A resolução também previu que a fiscalização priorizaria atividades de tratamento com maior risco aos direitos dos titulares.
| Instrumento | Data | Conteúdo principal |
|---|---|---|
| Guia de agentes de tratamento e encarregado | 28/05/2021 | Papéis de controlador, operador, encarregado e suboperador |
| Sanções da LGPD em vigor | 01/08/2021 | Base legal para punições |
| Resolução CD/ANPD nº 1 | 28/10/2021 | Fiscalização e processo sancionador |
A ANPD já podia multar no fim de 2021?
Ainda não. O próprio regulamento deixava claro que a aplicação efetiva das sanções do artigo 52 dependia de uma norma específica sobre o cálculo das penalidades, que precisaria passar por consulta pública. Ou seja, no fim de 2021 a autoridade tinha o rito, mas não a régua para calcular multas.
Quanto trabalho a autoridade recebeu?
A ANPD não divulgava detalhes de fiscalizações em andamento, mas alguns números vieram a público. Segundo levantamento do Tecnoblog sobre o megavazamento de 223 milhões de CPFs, a autoridade registrou 176 notificações de incidentes de segurança em 2021 e tinha 27 procedimentos preparatórios de fiscalização em agosto daquele ano. O mesmo levantamento observa que os processos de fiscalização só foram aprovados no fim de outubro, depois do vazamento.
O que isso significa hoje para quem contrata?
O legado de 2021 é que a ANPD começou pela orientação e pela definição de papéis. Para quem contrata serviços digitais, isso continua prático: o contrato com o fornecedor deve dizer quem é controlador e quem é operador em cada atividade, quais medidas de segurança serão adotadas e como incidentes serão comunicados. Fornecedores de software e segurança podem ser comparados nas categorias de software e cibersegurança. Este texto é informativo e não substitui orientação jurídica.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Qual foi o primeiro regulamento da ANPD?
Foi a Resolução CD/ANPD nº 1, de 28 de outubro de 2021, publicada no Diário Oficial em 29 de outubro. Ela aprovou o regulamento do processo de fiscalização e do processo administrativo sancionador da autoridade.
O que é o Mapa de Temas Prioritários?
É um instrumento previsto na Resolução CD/ANPD nº 1, de periodicidade bienal, que define os temas prioritários para o planejamento da fiscalização. Ele faz parte da etapa de monitoramento.
Medidas preventivas da ANPD são punições?
Não. Avisos, solicitações de regularização e planos de conformidade fazem parte da etapa de prevenção e não são sanções. As sanções do artigo 52 da LGPD são aplicadas apenas no processo sancionador.